Claude Code sendte brugeres e-mails til hjemmesider som en kontaktadresse

Hvad denne video dækker

• Anthropic's Lydia Hallie sagde, at kontoens e-mail blev tilføjet til modellens kontekst for indloggede brugere, fordi Claude ellers fandt på navne til ting som @author-tags.
• Sider som Wikimedia beder scripts om en informativ User-Agent med kontaktoplysninger; politikken accepterer en e-mail, en hjemmeside eller en wiki-bruger. Modellen brugte nogle gange den konto-e-mail, den havde i kontekst.
• Version 2.1.317 tilføjede en kontrol. Dens offentliggjorte readme beskriver et afslag uden prompt for Bash-, PowerShell- og Monitor-kald, der indeholder adressen og navngiver en User-Agent, og siger, at WebFetch, WebSearch, scripts og runtime-værdier ikke kontrolleres. Changeloggen og personalet beskriver den samme beskyttelse som enten at spørge eller blokere.
• To brugere rapporterede, at den indlæste kontrol ikke afviste harmløse testkommandoer; Anthropic havde ikke bekræftet disse rapporter. Den stabile kanal var stadig på 2.1.311, som mangler kontrollen, og den nyeste changelog-post på optagetidspunktet var 2.1.318.
• GitHub-problemer, der beskriver den samme User-Agent-lækage, dateres fra 18. september, med en rapport fra juli om den injicerede kontekstblok. Dommen var REVERT: en adresse, som modellen kan se, er en adresse, den kan sende.

Oversat udskrift

Oversat fra den originale engelske fortælling. Tilgængelig lyd og undertekster styres af YouTube.

Hvordan nåede en login-e-mail Wikipedia og SEC?

0:00 Din login-e-mail er til at logge ind. For nogle indloggede Claude Code-brugere fulgte den også med i User-Agent-headeren i anmodninger til websteder som Wikipedia og SEC. I denne video: hvordan kom den derhen? Og lukker løsningen det? Anthropic siger, at de burde have opdaget dette tidligere. Deres egen bug-tracker har en dato for, hvor meget tidligere, og jeg vil læse den inden dommen. Det er fredag den sjette november, og dette er The Daily Diff.

0:24 Claude Code er Anthropic's koding-agent. Den læser dit projekt og kører kommandoer for dig, inklusive curl-kald til internettet. En User-Agent er linjen i enhver webanmodning, der navngiver det program, der kalder.

Hvorfor kendte modellen din e-mail?

0:35 Adressen kom derhen med vilje. Lydia Hallie, der arbejder på Claude Code, forklarede på Hacker News, at Claude blev ved med at finde på navne til ting som forfatter-tags i kode, fordi den ikke vidste, hvem du var. Så Anthropic tilføjede konto-e-mailen til modellens kontekst for indloggede brugere. Det eksploderede torsdag med et GitHub-problem med titlen "brud på privatliv i User-Agent-header". Reporteren beskylder det for snesevis af spam-e-mails om dagen, og intet offentligt beviser den forbindelse.

1:02 Hacker News-tråden passerede tolv hundrede point. En rapport fra juli citerede allerede den indsprøjtede tekst. Under en overskrift kaldet "bruger-e-mail" står der, at brugerens e-mailadresse er, derefter din adresse. Den reporter fangede også Claude i at skrive adressen ind i git commits, og GitHub's push-beskyttelse blokerede push'et.

Hvorfor beder hjemmesider scripts om en e-mail?

1:20 Nogle sider beder scripts om at identificere sig. Wikimedia's politik siger, at scripts skal bruge en informativ User-Agent med kontaktoplysninger, ellers kan de blive blokeret uden varsel. En hjemmeside fungerer også som en kontakt. SEC's Edgar-side viser en eksempeloverskrift med et firmanavn og en administrator- e-mail. Når Claude Code skriver sin egen curl-kommando for Wikipedia, ønsker siden en kontakt, og den eneste adresse i dens kontekst er din login- e-mail. En Claude Code-udvikler udtrykte det sådan på Hacker News.

1:48 Claude har tilsyneladende en tendens til at beslutte, at denne politik er værd at følge. Ifølge brugere, der citerer det, fortalte den samme kontekstblok modellen, at den aldrig måtte

Var der ikke noget, der sagde, at den ikke måtte?

1:56 sende den adresse til en urelateret tjeneste, i en header, en URL eller en payload. I en oktober-rapport opsummerede Claude, hvad der skete derefter. Jeg sendte den alligevel. Og en User-Agent forsvinder ikke efter anmodningen. Apache's standard kombinerede logformat skriver den ind i adgangsloggen, ved siden af besøgerens IP og tidspunktet. Anthropic's første svar blev udsendt i version 3.17.

Hvad blokerer privatlivsmodifikationen egentlig?

2:19 Changeloggen kalder det en kontrol, der spørger, før et web- eller shell-værktøjskald sender din konto-e-mail til netværket. Den er slået til som standard. Men den stabile kanal er stadig på 3.11, som ikke har den. Dens kilde blev offentlig mindre end to timer efter problemet. Den "hooker" shell-værktøjerne, hvilket betyder Bash, PowerShell og Monitor. Hvis en kommando indeholder din adresse og navngiver en User-Agent, siger readme'en, at den afvises, uden prompt.

2:44 Changeloggen siger, at den spørger, en medarbejderkommentar siger, at den blokerer, og readme'en siger, at den afviser uden at spørge. Hele "udsmideren" er to ordmatch, uden parser, med vilje. Så testede brugere den.

Fangede vagten testen?

2:56 En på en Mac og en på Windows kørte harmløse kommandoer, en "echo" ud i intet og en "curl" til et .invalid domæne, der aldrig løses. Begge siger, at modifikationen viste sig som indlæst, og ingen af kommandoerne blev afvist. Disse er brugerrapporter; Anthropic har ikke bekræftet dem. ReadMe'en lister også, hvad der slipper igennem. Web-værktøjerne, WebFetch og WebSearch, kontrolleres ikke, hvilket er en mærkelig pasform til en changelog, der nævner webkald. Heller ikke et script, der indeholder din adresse, eller en værdi beregnet ved kørsel.

3:25 ReadMe'en kalder det hele en "høflighed", der dækker én form. Hallie siger, at den næste udgivelse fjerner konto-e-mailen fra det, Claude Code

Hvornår udgives den rigtige løsning, og hvad gør du nu?

3:32 giver modellen, og skulle ankomme tidligt i næste uge. Et filter på vej ud skal genkende enhver rute. Hvis adressen aldrig går ind, er der intet at filtrere. Mens jeg optager dette, er den nyeste changelog-post stadig tre-atten. Hvis du er på "stable", skal du opdatere til tre-sytten eller nyere. Hvis du skriver hooks, tjekker Windows-testerens midlertidige løsning også filredigeringer, så en hårdkodet adresse fanges, før scriptet skrives. Og søg i dine sessionstranskripter efter din egen e-mail ved siden af en User-Agent.

Hvor meget tidligere blev det rapporteret?

4:00 Nu den dato. Vi burde have opdaget denne adfærd tidligere, skrev Hallie. Juli-rapporten advarede allerede om, at alt i kontekst kunne lække ud i udgående værktøjskald. Og den 18. september indsendte en bruger en fejl med titlen, bruger-e-mail fra konto-metadata utilsigtet sendt til ekstern tjeneste i User-Agent-header. Det er syv uger før torsdagens tråd, og en bot taggede den som "områdesikkerhed" inden for omkring et minut.

4:24 I slutningen af oktober beskrev mindst fire flere problemer den samme lækage, til Wikipedia, SEC og en gaming-wiki. Fra i dag er alle fem åbne. Anthropic siger, at de bemærkede, da dette begyndte at "poppe af" på Reddit. Undskyldningen i sig selv var hurtig og enkel, det vil jeg give dem. Hvis du hellere vil læse dette end høre mig sige det, lander "the diff" i din indbakke hver morgen, gratis på thedailydiff.dev, link nedenfor. Så dagens dom: REVERT.

Skal e-mailen forblive i konteksten?

4:48 Jeg ville rulle tilbage med at placere konto-e-mailen i modellens kontekst, fordi en adresse, som modellen kan se, er en adresse, den kan sende, og vagtens egen readme siger, at den dækker én form. Abonner, tryk på klokken, og fortæl mig i kommentarerne, om du ville have stemplet det anderledes. Og det var "the diff" for i dag. Jeg er Niko fra Axrisi. Flet ansvarligt.

Kilder

1. Bug report: privacy violation in User-Agent headerGitHub · anthropics/claude-code #107757
2. Claude Code staff explanation and planned removal of the account email from the model contextHacker News
3. Claude Code staff comment on site User-Agent policiesHacker News
4. Privacy mod readme and sourceGitHub · anthropics/claude-code
5. Changelog entry for 2.1.317GitHub · anthropics/claude-code
6. July report on the account email injected into the model contextGitHub · anthropics/claude-code #81138
7. September 18 report of the email sent in a User-Agent headerGitHub · anthropics/claude-code #95258
8. User-Agent PolicyWikimedia Foundation
9. Accessing EDGAR dataU.S. Securities and Exchange Commission
10. Log files: combined log formatApache HTTP Server documentation
11. Dario Amodei at TechCrunch Disrupt 2023 portrait, CC BY 2.0, identification onlyTechCrunch via Wikimedia Commons
12. Original Dario Amodei portrait at TechCrunch Disrupt 2023 — TechCrunch; CC BY 2.0; background removed, cropped and resized; identifies Anthropic only, no endorsement, quote or reactionTechCrunch on Flickr
13. Portrait license: Creative Commons Attribution 2.0Creative Commons; TechCrunch portrait credit above
14. UNO Draw 25 Cards template — brief transformed narrator commentary, no actual reaction by anyone shown or blanket reuse licenceImgflip
15. The Office (Michael Scott) GIF, official @theoffice upload, Peacock — brief transformed narrator commentary, no actual reaction by anyone shown or blanket reuse licence; public hosting does not certify legal clearanceThe Office on GIPHY